I Requisiti di base (FR)

Nella Sicurezza Funzionale, per raggiungere un determinato livello di SIL, concetti come guasti casuali (Random Failures) e guasti sistematici (Systematic Failures) svolgono un ruolo fondamentale.

Nella sicurezza degli IACS (o OT Security), invece, un elevato livello di protezione viene ottenuto grazie a una serie di “strumenti” o “tecniche” chiamati Foundational Requirements (FR). Ogni FR descrive una caratteristica o una “protezione” che un IACS dovrebbe possedere.

La IEC 62443 definisce 7 Foundational Requirements (FR), che costituiscono la struttura portante sia dei requisiti di sicurezza a livello di sistema sia di quelli a livello di componente. Ogni Foundational Requirement affronta un diverso aspetto della cybersecurity e, nel loro insieme, formano un quadro completo di difesa in profondità (defense-in-depth).

1. FR 1 – Controllo di Identificazione e Autenticazione (Identification and Authentication Control – IAC)
   Garantisce che utenti e dispositivi siano correttamente identificati e autenticati.
2. FR 2 – Controllo dell’Uso (Use Control – UC)
   Garantisce che gli utenti autenticati possano eseguire solo le azioni consentite.
3. FR 3 – Integrità del Sistema (System Integrity – SI)
   Protegge il sistema da modifiche non autorizzate o da codice malevolo.
4. FR 4 – Riservatezza dei Dati (Data Confidentiality – DC)
   Protegge i dati sensibili da divulgazioni non autorizzate.
5. FR 5 – Flusso dei Dati Limitato (Restricted Data Flow – RDF)
   Controlla e limita le comunicazioni tra zone e condotti.
6. FR 6 – Risposta Tempestiva agli Eventi (Timely Response to Events – TRE)
   Garantisce che il sistema sia in grado di rilevare, segnalare e rispondere agli eventi di sicurezza.
7. FR 7 – Disponibilità delle Risorse (Resource Availability – RA)
   Garantisce che il sistema continui a operare anche in condizioni avverse (ad esempio attacchi DoS).

Di seguito, tali requisiti vengono descritti in modo più approfondito.

Scopo: Garantire che tutti gli utenti, i dispositivi e le entità software siano correttamente identificati e autenticati prima di accedere al sistema.

Descrizione: Questo requisito assicura che solo le entità autorizzate possano accedere alle risorse del sistema. Include meccanismi quali nome utente e password, certificati, token o altri metodi di autenticazione. L’autenticazione deve essere adeguata al livello di rischio e può essere applicata a persone, dispositivi o applicazioni.

Un’identificazione e un’autenticazione robuste prevengono accessi non autorizzati e impersonificazioni, che rappresentano spesso i primi passi di un attacco informatico.

Esempi di controlli:

• • Account utente univoci (nessuna credenziale condivisa)
  • Policy per password robuste o utilizzo di certificati
  • Autenticazione a più fattori ove richiesta
  • Autenticazione dei dispositivi per l’accesso alla rete

Scopo: Garantire che gli utenti autenticati possano eseguire esclusivamente le azioni per le quali sono autorizzati.

Descrizione: Il Controllo dell’Uso si concentra sull’autorizzazione piuttosto che sull’autenticazione. Una volta che un utente o un sistema è stato autenticato, le sue azioni devono essere limitate in base a ruoli e permessi definiti. Questo riduce l’uso improprio accidentale e limita l’impatto potenziale di credenziali compromesse.

Esempi di controlli:

• • Liste di Controllo degli Accessi (ACL – Access Control Lists)
  • Separazione dei privilegi (operatore vs ingegnere vs amministratore)
  • Restrizioni di accesso per funzioni critiche per la sicurezza
  • Applicazione del principio del minimo privilegio

Scopo: Proteggere il sistema da modifiche non autorizzate o non intenzionali.

Descrizione: L’Integrità del Sistema garantisce che software, firmware, configurazioni e dati rimangano affidabili e non alterati, salvo che le modifiche siano autorizzate. Ciò include la protezione contro malware, modifiche non autorizzate alla configurazione e manomissioni.

Esempi di controlli:

• • Avvio sicuro (Secure Boot) e verifiche di integrità del firmware
  • Rilevamento e prevenzione del malware
  • Gestione delle configurazioni e tracciamento delle modifiche
  • Firma del codice e verifica degli aggiornamenti

Scopo: Prevenire l’accesso non autorizzato alle informazioni sensibili.

Descrizione: Questo requisito garantisce che i dati sensibili, come dati operativi, credenziali o informazioni proprietarie, siano protetti dalla divulgazione non autorizzata. Sebbene negli ambienti OT (Operational Technology) la riservatezza sia spesso meno critica rispetto alla disponibilità, rimane comunque essenziale per prevenire attività di spionaggio e attacchi laterali.

Esempi di controlli:

• • Crittografia dei dati in transito e a riposo
  • Protocolli di comunicazione sicuri
  • Controlli di accesso per repository di dati sensibili

Scopo: Controllare e limitare i percorsi di comunicazione all’interno e tra i sistemi.

Descrizione: Questo requisito impone la segmentazione del sistema in zone e condotti (conduits), garantendo che i flussi di dati avvengano solo dove esplicitamente consentito. Riduce la propagazione degli attacchi e limita l’estensione dell’impatto (blast radius) in caso di compromissione.

Esempi di controlli:

• • Segmentazione e zonizzazione della rete
  • Firewall e gateway di sicurezza industriali
  • Whitelisting dei percorsi di comunicazione e dei protocolli
  • Zone demilitarizzate (DMZ) tra reti IT e OT

Scopo: Garantire il rilevamento, la segnalazione e la risposta tempestiva agli eventi di cybersecurity.

Descrizione: I sistemi devono essere in grado di rilevare attività anomale o malevole e generare avvisi affinché gli operatori possano intervenire prima che si verifichino danni. Ciò include meccanismi di registrazione (logging), monitoraggio e gestione degli allarmi.

Esempi di controlli:

• • Registrazione degli eventi di sicurezza e generazione di alert
  • Sistemi di rilevamento delle intrusioni (IDS – Intrusion Detection Systems)
  • Sincronizzazione temporale per una corretta correlazione degli eventi
  • Procedure di risposta agli incidenti

Scopo: Garantire che il sistema rimanga operativo e resiliente anche in condizioni avverse.

Descrizione: La Disponibilità delle Risorse si concentra sulla protezione del sistema contro condizioni di denial-of-service, guasti delle apparecchiature o esaurimento delle risorse. È particolarmente critica negli ambienti industriali, dove i tempi di inattività possono avere conseguenze sulla sicurezza o impatti economici significativi.

Esempi di controlli:

• • Meccanismi di ridondanza e failover
  • Gestione della capacità e controllo del carico
  • Protezione contro attacchi di denial-of-service (DoS)
  • Alimentazione di backup e percorsi di comunicazione ridondanti